7. NGFW за мали бизниси. Изведба и општи препораки

Дојде време да се заврши серијата написи за новата генерација на SMB Check Point (серија 1500). Се надеваме дека ова беше наградувачко искуство за вас и дека ќе продолжите да бидете со нас на блогот TS Solution. Темата за последната статија не е широко опфатена, но не помалку важна - подесување на перформансите на SMB. Во него ќе разговараме за опциите за конфигурација за хардверот и софтверот на NGFW, ќе ги опишеме достапните команди и методи на интеракција.

Сите написи во серијата за NGFW за мали бизниси:

1. Нова линија за безбедност на порталот CheckPoint 1500

2. Отпакување и поставување

3. Безжичен пренос на податоци: WiFi и LTE

4. VPN

5. Управување со Cloud SMP

6. Smart-1 Cloud

Во моментов, нема многу извори на информации за подесување на перформансите за SMB решенија поради ограничувања внатрешен оперативен систем - Gaia 80.20 Вграден. Во нашата статија ќе користиме распоред со централизирано управување (посветен сервер за управување) - ви овозможува да користите повеќе алатки кога работите со NGFW.

Хардвер

Пред да ја допрете семејната архитектура на Check Point SMB, секогаш можете да побарате од вашиот партнер да ја користи алатката Алатка за одредување на големината на апаратот, да се избере оптималното решение според наведените карактеристики (пропусност, очекуван број на корисници и сл.).

Важни забелешки при интеракција со вашиот NGFW хардвер

1. Решенијата NGFW од семејството SMB немаат можност за хардверска надградба на компонентите на системот (процесор, RAM, HDD); во зависност од моделот, има поддршка за SD-картички, ова ви овозможува да го проширите капацитетот на дискот, но не значително.

2. Работењето на мрежните интерфејси бара контрола. Gaia 80.20 Embedded нема многу алатки за следење, но секогаш можете да ја користите добро познатата команда во CLI преку експертски режим 

   # јасfconfig

   

   Обрнете внимание на подвлечените линии, тие ќе ви овозможат да го процените бројот на грешки на интерфејсот. Силно се препорачува да ги проверувате овие параметри за време на првичното спроведување на вашиот NGFW, како и периодично за време на работата.

3. За полноправна Гаја има команда:

   >покажи дијаг

   Со негова помош е можно да се добијат информации за температурата на хардверот. За жал, оваа опција не е достапна во 80.20 Embedded; ќе ги посочиме најпопуларните SNMP стапици:

   Име 

   Опис

   Интерфејсот е исклучен

   Оневозможување на интерфејсот

   VLAN е отстранет

   Отстранување на Vlans

   Висока искористеност на меморијата

   Висока искористеност на RAM меморијата

   Низок простор на дискот

   Нема доволно простор на HDD

   Висока искористеност на процесорот

   Висока искористеност на процесорот

   Висока стапка на прекини на процесорот

   Висока стапка на прекини

   Висока стапка на поврзување

   Висок проток на нови врски

   Високи истовремени врски

   Високо ниво на конкурентни сесии

   Висока пропусност на заштитен ѕид

   Заштитен ѕид со висока пропусност

   Висока прифатена стапка на пакети

   Висока стапка на прием на пакети

   Се промени земјата членка на кластерот

   Промена на состојбата на кластерот

   Грешка во врска со серверот за евиденција

   Изгубена врска со Лог-сервер

4. Работењето на вашиот портал бара следење на RAM меморијата. За да работи Gaia (оперативен систем сличен на Линукс), ова е нормална ситуацијакога потрошувачката на RAM ќе достигне 70-80% од користењето.

   Архитектурата на SMB решенијата не предвидува употреба на SWAP меморија, за разлика од постарите Check Point модели. Сепак, во системските датотеки на Линукс тоа беше забележано , што укажува на теоретска можност за промена на параметарот SWAP.

Софтверски дел

Во моментот на објавување на статијата ажурирани Гаја верзија - 80.20.10. Треба да знаете дека има ограничувања кога работите во CLI: некои команди на Linux се поддржани во експертски режим. Проценката на перформансите на NGFW бара проценка на перформансите на демоните и услугите, повеќе детали за ова може да најдете во Член мојот колега. Ќе ги разгледаме можните команди за SMB.

Работа со Gaia OS

1. Прелистајте ги шаблоните на SecureXL

   #fwaccelstat

   

2. Погледнете го подигањето по јадро

   # fw ctl multik статистика

   

3. Погледнете го бројот на сесии (врски).

   # fw ctl pstat

   

4. *Прикажи го статусот на кластерот

   #cphaprob статистика

   

5. Класична команда на Linux TOP

Сеча

Како што веќе знаете, постојат три начини за работа со логови на NGFW (складирање, обработка): локално, централно и во облак. Последните две опции подразбираат присуство на ентитет - Сервер за управување.

Можни шеми за контрола на NGFW

Највредните датотеки за дневници

1. Системски пораки (содржи помалку информации од целосната Gaia)

   # опашка -f /var/log/messages2

   

2. Пораки за грешка во работењето на сечилата (прилично корисна датотека при решавање проблеми)

   # опашка -f /var/log/log/sfwd.elg

   

3. Погледнете ги пораките од баферот на ниво на јадрото на системот.

   #dmesg

   

Конфигурација на сечилото

Овој дел нема да содржи целосни упатства за поставување на вашиот NGFW Check Point; тој ги содржи само нашите препораки, избрани од искуство.

Контрола на апликацијата / филтрирање на URL

• Се препорачува да се избегнат БИЛО, БИЛО (Извор, дестинација) услови во правилата.

• Кога одредувате приспособен ресурс за URL, ќе биде поефективно да се користат редовни изрази како: (^|..)проверка.com

• Избегнувајте прекумерна употреба на евиденција на правила и прикажување на блокирани страници (UserCheck).

• Проверете дали технологијата работи правилно „SecureXL“. Повеќето сообраќај треба да помине низ забрзана/средна патека. Исто така, не заборавајте да ги филтрирате правилата според најкористените (поле Преземања ).

HTTPS-Инспекција

Не е тајна дека 70-80% од корисничкиот сообраќај доаѓа од HTTPS конекции, што значи дека за ова се потребни ресурси од вашиот процесор за портал. Покрај тоа, HTTPS-Inspection учествува во работата на IPS, Antivirus, Antibot.

Почнувајќи од верзијата 80.40 имаше можност за да работите со правилата на HTTPS без контролна табла за наследство, еве неколку препорачани редослед на правила:

• Бајпас за група адреси и мрежи (Дестинација).

• Бајпас за група URL-адреси.

• Бајпас за внатрешна IP и мрежи со привилегиран пристап (Извор).

• Проверете дали има потребни мрежи, корисници

• Бајпас за сите останати.

* Секогаш е подобро рачно да изберете HTTPS или HTTPS прокси услуги и да го оставите Any. Пријавете ги настаните според правилата за проверка.

IPS

Сечилото IPS може да не ја инсталира политиката на вашиот NGFW ако се користат премногу потписи. Според Член од Check Point, архитектурата на SMB уредот не е дизајнирана да го извршува целосниот препорачан профил за конфигурација на IPS.

За да го решите или спречите проблемот, следете ги овие чекори:

1. Клонирајте го оптимизираниот профил наречен „Оптимизиран SMB“ (или друг по ваш избор).

2. Уредете го профилот, одете во делот IPS → Pre R80.Settings и исклучете го Server Protections.

   

3. По ваша дискреција, можете да ги оневозможите CVE постари од 2010 година, овие пропусти може ретко да се најдат во мали канцеларии, но влијаат на перформансите. За да оневозможите некои од нив, одете во Профил → IPS → Дополнително активирање → Заштити за да ја деактивирате листата

   

Наместо заклучок

Како дел од серијата написи за новата генерација на NGFW од семејството SMB (1500), се обидовме да ги истакнеме главните можности на решението и ја демонстриравме конфигурацијата на важни безбедносни компоненти користејќи конкретни примери. Со задоволство ќе одговориме на сите прашања во врска со производот во коментарите. Остануваме со вас, ви благодариме за вниманието!

Голем избор на материјали на Check Point од TS Solution. За да не пропуштите нови публикации, следете ги ажурирањата на нашите социјални мрежи (Телеграма, Facebook, VK, Блог за TS Solution, Yandex Зен).

Извор: www.habr.com